20 let stará bezpečnostní chyba v LZO

Lab Mouse Security informuje o 20 let staré bezpečnostní chybě objevené v bezeztrátové kompresi LZO (Lempel–Ziv–Oberhumer). Existuje celá řada implementací LZO, většina z nich ale vychází z kódu publikovaného v roce 1994. Zranitelná je tak celá řada softwarových produktů (Linux, FFmpeg, Libav, LZO, LZ4, ...).

27.6.2014 10:36 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[chrono]

Väčšina tých odkazovaných programov pravdepodobne zraniteľná nie je, pretože (podľa Markusa Oberhumera) program by musel používať nezvyčajne veľký buffer pri dekomprimovaní pri jednom volaní funkcie na dekomprimovanie.

[CiV]

Asi tak. Viz článek Debunking the LZ4 "20 years old bug" myth

[Vladimír Čunát]

Díky. Cílem zpráviček (kdekoliv) by nemělo být přeposílat cokoliv se někde objeví, ale také trochu ověřovat (třeba na phoronixu mi tahle slepota taky dost vadí, plus neopravené chyby v testech, apod.).

[Ladislav Hagara]

Cílem zpráviček (kdekoliv) by nemělo být přeposílat cokoliv se někde objeví, ale také trochu ověřovat.

Jak důkladně ověřovat? Nejedná se o zpětnou analýzu, ale o aktuální zprávičku.

O bezpečnostní chybě se diskutovalo v diskusním listu Open Source Security. Chyba dostala své CVE, dokonce několik (LZO CVE-2014-4607, LZ4 CVE-2014-4611, ...). Chyba byla opravena v Libav (commit) a FFmpeg (commit). Vyšla nová verze LZO. Greg Kroah-Hartman vydal Linux 3.15.2, 3.14.9, 3.10.45 a 3.4.95, ve všech je řešen problém s LZO. Nestačí to na ověření?

Mimochodem, na zmíněný článek reaguje Don A. Bailey Understanding the LZ4 Memory Corruption Vulnerability.
Odpověď nenechá na sebe dlouho čekat Let's move on.

[Petr Tomášek]

Mno, ono by stačilo do zprávičky dopsat něco ve stylu: „Současné implementace algoritmu zřejmě není možné zneužít“ a dát odkaz na diskuzi...

Takhle to bude jen zbytečné strašení...

[pavlix]

Však už je v diskuzi k dispozici hromada odkazů na všemožné zdroje a názory ;).

[Jendа]

Debunking the LZ4 "20 years old bug" myth